Autonomous Databaseインスタンスのクライアント・アクセス制御は、ネットワーク・アクセス制御ポリシー、クライアント接続プロトコル、およびクライアントが接続に使用するデータベース・ユーザーのアクセス権によって適用されます。

Oracle Autonomous Databaseは、他のデータベース・アカウントの作成および管理に使用する管理アカウントADMINで構成されます。Oracle Autonomous Databaseは、システム権限やオブジェクト権限、ロールなど、堅牢な一連の機能と制御を提供します。ユーザー・プロファイルを使用すると、パスワード・ポリシーをカスタマイズして、セキュアなデータベース・ユーザー・アクセス戦略を定義および実装できます。

標準のユーザー管理に関する基本情報については、『Oracle Database概要』のユーザー・アカウントに関する項を参照してください。詳細およびガイダンスは、『Oracle Databaseセキュリティ・ガイド』のOracle Databaseユーザーのセキュリティの管理に関する項を参照してください。

データベース・ユーザー・アクセス戦略で、標準ユーザー管理よりも多くの制御が必要な場合、Database Vaultを使用するようにOracle Autonomous Databaseを構成して、より厳格な要件を満たすことができます。

Identity and Access Management (IAM)サービスを使用して、Oracle Autonomous Databaseでユーザーが実行できるアクションを指定することで、Oracle Cloudユーザーの権限を制御します。

IAMサービスには、セキュアなクラウド・ユーザー・アクセス戦略の定義および実装に役立つ複数の種類のコンポーネントが用意されています:

• コンパートメント: 関連するリソースの集合。コンパートメントは、クラウド・リソースを編成および分離するためのOracle Cloud Infrastructureの基本コンポーネントです。

• グループ: 特定のリソースまたはコンパートメントのセットに対して同じアクセス・タイプを必要とするユーザーの集合。

• 動的グループ: 定義したルールに一致するリソースを含む、特別なタイプのグループ。したがって、一致するリソースが作成または削除されると、メンバーシップが動的に変わる可能性があります。

• ポリシー: 誰がどのリソースにどのようにアクセスできるかを指定する文のグループ。アクセス権はグループ・レベルおよびコンパートメント・レベルで付与します。つまり、特定のコンパートメント内の特定のリソース・タイプへのアクセス権を特定のグループに付与するポリシー・ステートメントを記述します。

このうち、ポリシーは、単一のアクセス制約の「誰が」、「どのように」、「何を」、「どこで」を指定するとため、アクセス制御のための主要なツールとして使用できます。ポリシー・ステートメントのフォーマットは次のとおりです:

ポリシー・ステートメントのフォーマットは次のとおりです:

Allow 
  group <group-name> 
  to <control-verb> 
  <resource-type> 
  in compartment <compartment-name>

• group <group-name>は、既存のIAMグループの名前を指定することで、「誰が」を指定します。

• to <control-verb>は、次の事前定義済の制御動詞のいずれかを使用して、「どのように」を指定します。

  • inspect: 特定のタイプのリソースを、それに含まれる可能性がある機密情報やユーザー指定のメタデータにはアクセスせずに一覧表示できます。
  • read: inspectに加えて、ユーザー指定のメタデータと実際のリソースそのものを取得できます。
  • use: readに加えて、既存のリソースを作業できます(作成や削除はできません)。また、「作業する」とは、各リソース・タイプで異なる操作を意味します。
  • manage: リソース・タイプに対するすべての権限(作成および削除を含む)。

• <resource-type>は、事前定義済のリソース・タイプを使用して、「何を」を指定します。インフラストラクチャ・リソースのリソース・タイプの値は次のとおりです:

  • autonomous-databases
  • autonomous-backups

  テナンシ内でタグ付けが使用されている場合は、tag-namespacesリソース・タイプ値を参照しているポリシー・ステートメントを作成できます。

• in compartment <compartment-name>は、既存のIAMコンパートメントの名前を指定することで、「どこで」を指定します。

IAMサービスとそのコンポーネントの仕組みおよび使用方法の詳細は、Oracle Cloud Infrastructure Identity and Access Managementの概要を参照してください。IAMに関する一般的な質問への簡単な回答は、Identity and Access ManagementのFAQを参照してください。

Autonomous Databaseインスタンスへのアクセスが許可されるのは、認可されたユーザーのみです。

Oracle Cloudオペレータには、Autonomous Databaseにアクセスする権限がありません。問題のトラブルシューティングまたは軽減にデータベースへのアクセスが必要な場合、クラウド・オペレータが限られた期間、データベースにアクセスすることを許可できます。

プロシージャDBMS_CLOUD_ADMIN.ENABLE_OPERATOR_ACCESSを実行して、クラウド・オペレータがデータベースにアクセスできるようにします。つまり、Oracle Cloud Supportにサービス・リクエストを提出する場合、またはサポート担当者に連絡して、Oracle Cloud Operatorsがデータベースにアクセスする必要がある場合、DBMS_CLOUD_ADMIN.ENABLE_OPERATOR_ACCESSを実行してオペレータ・アクセスを有効にする必要もあります。

Oracle Cloudオペレータによる各データベース・アクセスは、リクエストIDおよび理由を使用して記録されます。

詳細は、Oracle Cloudオペレータ・アクセスの管理およびOracle Cloud Infrastructure操作アクションの表示を参照してください。

Autonomous Databaseはフルマネージド・サービスであり、Oracleは独自のOracle Cloud Infrastructureテナンシを使用してAutonomous Databaseサービスを実行します。

Oracle Cloudオペレータは顧客のテナンシにアクセスできず、クラウド・オペレータはネットワークにアクセスできません。

Oracle Cloud Infrastructure Console、REST API、コマンドライン・インタフェース(CLI)、ソフトウェア開発キット(SDK)など、使用されるインタフェースに関係なく、Oracle CloudユーザーがOracle Autonomous Databaseのデプロイメントを構成するリソースに対して実行するすべてのアクションは、Auditサービスによって記録されます。

監査サービスを使用して、診断の実行、リソース使用率の追跡、コンプライアンスのモニター、セキュリティ関連イベントの収集を行うことができます。監査サービスの詳細は、Oracle Cloud Infrastructureドキュメントの監査の概要を参照してください。

また、ユーザーがOracle Autonomous Databaseで操作を実行すると、データベースはイベントをOracle Cloud Eventsサービスに公開します。Oracle Cloud Eventsサービスを使用すると、これらのイベントを取得してアクションを実行するルールを作成できます。

イベント・サービスの仕組みと、使用されるルールおよびアクションの設定方法の詳細は、イベントの概要を参照してください。イベントを生成するOracle Autonomous Database操作のリストは、Autonomous Databaseイベント・タイプを参照してください。

Oracle Autonomous Databaseは、ユーザーが作成したAutonomous Databaseを、Oracle Databaseの統合監査機能を使用するように構成します。

この機能によって、次のソースから監査レコードが取得され、統一されたフォーマットで1つの監査証跡に収集されます:

• 統合監査ポリシーおよびAUDIT設定による監査レコード(SYS監査レコードを含む)
• DBMS_FGA PL/SQLパッケージによるファイングレイン監査レコード
• Oracle Database Real Application Security監査レコード
• Oracle Recovery Manager監査レコード
• Oracle Database Vault監査レコード
• Oracle Label Security監査レコード
• Oracle Data Miningレコード
• Oracle Data Pump
• Oracle SQL*Loaderダイレクト・ロード

監査情報は最大14日間保持され、その後は自動的にパージされます。監査情報をより長く保持し、データベース・アクティビティを簡単に分析およびレポートするには、Oracle Data Safe (Oracle Autonomous Databaseサブスクリプションに付属)を使用します。

詳細は「Autonomous Databaseの監査について」を参照してください。